Bluesnarfing: si afecta a tu móvil y qué equipos siguen expuestos

Si llegaste aquí después de ver un aviso de tu banco o un video en redes sobre «el robo de datos por Bluetooth», hay una buena noticia: el bluesnarfing tal como se describió en 2003 apuntaba a teléfonos de otra época.

Bluetooth, eso sí, sigue teniendo fallos de vez en cuando, y la forma de protegerte de ellos es casi siempre la misma.

Lo esencial

• El bluesnarfing es el robo de datos de un dispositivo a través de Bluetooth, sin que su dueño lo autorice ni se entere.
• El ataque original (2003) aprovechaba teléfonos que entregaban contactos y calendario sin pedir emparejamiento. Ese fallo se corrigió y no volvió a funcionar igual en los teléfonos posteriores.
• Lo que sí existe hoy son fallos concretos de Bluetooth que se descubren y se corrigen con actualizaciones cuando estas llegan a tu dispositivo; por eso actualizar es la medida que más pesa.
• Apagar Bluetooth cuando no lo usas, no aceptar emparejamientos desconocidos y borrar dispositivos viejos de la lista reduce la exposición, junto con mantener todo actualizado.

¿Qué es el bluesnarfing y qué datos puede copiar?

El bluesnarfing es un ataque en el que alguien cercano se conecta por Bluetooth a tu dispositivo y copia información, como contactos, mensajes, calendario, fotos o archivos, sin tu permiso. No necesita tocar el teléfono: le basta con estar dentro del alcance de la señal y con que el dispositivo tenga un fallo que lo permita.

INCIBE, el Instituto Nacional de Ciberseguridad de España, lo describe en su blog para ciudadanos (26 de febrero de 2025) como un ataque contra dispositivos con Bluetooth activo y visible, sobre todo si no tienen las actualizaciones de seguridad recientes. Ese último detalle decide el riesgo.

De dónde viene la palabra

El nombre junta «Bluetooth» con snarf, un término de la jerga informática en inglés. El Jargon File, el diccionario clásico de la cultura hacker, define snarf como agarrar algo, en especial un documento o archivo grande, para usarlo con o sin permiso de su autor.

INCIBE lo resume igual: extraer datos sin permiso.

Según el mismo Jargon File, en los años sesenta la palabra significaba comer con glotonería, y el sentido de «agarrar» llegó después: la palabra existía antes del ataque.

Origen del bluesnarfing: cómo funcionaba el ataque de 2003

La página del grupo trifinite, del que formaba parte Adam Laurie, indica que Marcel Holtmann identificó el problema en septiembre de 2003 y que Laurie lo descubrió por su cuenta en noviembre de ese año, lo publicó en la lista de seguridad Bugtraq y avisó a los fabricantes.

Holtmann lo presentó públicamente en octubre de 2003 en el congreso de tecnologías inalámbricas de Sindelfingen (Alemania), y Laurie lo divulgó también en la lista Full Disclosure.

En 2004, Laurie, Holtmann y Herfurt, que firmaban como el grupo trifinite, hicieron una prueba de campo en la feria CeBIT y publicaron un informe con los resultados: detectaron 1.269 dispositivos con Bluetooth. Cerca de un tercio de los Nokia 6310 y 6310i dejaban leer su agenda sin que el dueño hiciera nada.

El aviso de Laurie de noviembre de 2003 hablaba de teléfonos Nokia y Ericsson, según recogió The Register. Trifinite listó después los modelos afectados: Sony Ericsson T68, T68i, R520m, T610 y Z1010, y Nokia 6310, 6310i, 8910 y 8910i.

Bluetooth agrupa sus funciones en «perfiles». Uno de ellos, pensado para intercambiar tarjetas de contacto entre teléfonos, se llama OBEX Push y normalmente no pide contraseña: la idea era que pasar un contacto fuera rápido.

Según trifinite, en algunos teléfonos ese perfil estaba mal implementado y respondía también a peticiones para descargar archivos con nombres conocidos, como la agenda o el calendario, sin emparejamiento previo.

Quien estaba cerca podía pedir la agenda completa, el calendario y, en algunos casos, el IMEI o las imágenes asociadas a un contacto, sin haberse emparejado antes con el teléfono, y el teléfono se los entregaba, según explicó el propio Laurie en un memorando al Parlamento británico.

Era como un buzón que, además de aceptar cartas, entregaba lo que había dentro a quien supiera pedirlo por su nombre.

El fallo no estaba en Bluetooth como tecnología, sino en cómo algunos fabricantes lo habían programado. Por eso se corrigió con cambios en los teléfonos.

Se suele confundir con el bluejacking, otro de los ataques Bluetooth más conocidos, porque suenan parecido, pero difieren mucho en gravedad. El bluejacking consiste en mandar mensajes no solicitados por Bluetooth a teléfonos cercanos, normalmente aprovechando el envío de tarjetas de contacto: es molesto, pero no da acceso a nada de lo que guardas.

El bluesnarfing, en cambio, saca información de tu dispositivo. Uno es como recibir un papelito por debajo de la puerta; el otro, que alguien entre y se lleve la agenda.

¿Le puede pasar el bluesnarfing a tu móvil hoy?

Con un iPhone o un Android actualizado, el bluesnarfing clásico —el de pedir la agenda por OBEX sin emparejar— no debería funcionar. Para recibir archivos por AirDrop (iPhone) o por Quick Share (Android), quien recibe tiene que aceptar la transferencia. Lo que cambió desde 2003 es, sobre todo, esto:

• El emparejamiento ya no se salta en el uso normal. Para acceder a la agenda o a los mensajes, el otro dispositivo tiene que estar emparejado y, en muchos casos, tú tienes que autorizar ese acceso de forma explícita. Saltárselo exige un fallo concreto, como BlueBorne o el de los chips Airoha.
• Los parches llegan por la red. En 2003 un fallo de firmware casi nunca se corregía en un teléfono ya vendido. Hoy las actualizaciones del sistema incluyen arreglos de Bluetooth con regularidad.

Nada de esto significa riesgo cero. Significa que el peligro real ya no es «tener Bluetooth encendido», sino tener Bluetooth encendido con un fallo conocido sin corregir, en el teléfono o en un accesorio conectado. Los más expuestos son:

• Teléfonos que ya no reciben actualizaciones de seguridad.
• Auriculares, relojes y altavoces cuyo firmware nunca se actualizó.
• PC con controladores de Bluetooth antiguos o sin parches.

Tener el iPhone o el Android al día no corrige un fallo que siga abierto en un accesorio conectado, como pasó con los auriculares del caso Airoha.

Maldita.es consultó a expertos el 26 de junio de 2024, y coincidieron en que el ataque afecta sobre todo a dispositivos antiguos y en que, en un teléfono nuevo, es muy raro que ocurra sin que el usuario se dé cuenta.

Lo que dicen las alertas y lo que es cierto

Desde 2024 el bluesnarfing volvió a circular en televisión, redes y avisos de bancos. En junio de 2024, El Hormiguero lo presentó como una «nueva estafa», según recogió 20minutos, y Maldita.es consultó al respecto a INCIBE y al Centro Criptológico Nacional (CCN).

Algunas de esas alertas mezclan datos ciertos con exageraciones.

«Es una nueva ciberestafa». No es nueva: se publicó en 2003. Lo nuevo son las alertas, no el ataque.

La distancia. INCIBE señala que el atacante tiene que estar cerca y que la distancia «generalmente no supera los 15 metros».

El alcance de Bluetooth depende de la potencia del dispositivo, la antena y los obstáculos. Según el Bluetooth SIG, la organización que mantiene el estándar, va desde menos de un metro hasta más de un kilómetro según el equipo.

Los teléfonos suelen ser de la clase 2 (máximo 2,5 mW, +4 dBm), cuyo alcance nominal según el Bluetooth SIG es de unos 10 metros.

Con antenas direccionales se puede llegar más lejos, pero eso exige equipo especial y un objetivo concreto.

«Pueden vaciar tus cuentas bancarias». El bluesnarfing clásico copiaba la agenda, el calendario y datos asociados a los contactos. Ningún aviso de los que revisamos cita un caso real en el que se haya robado dinero por esta vía ni un fallo concreto que lo permita.

«Te lo roban sin que hagas clic». En el bluesnarfing clásico era así. En el uso normal de un teléfono actual, para recibir archivos por AirDrop o Quick Share tienes que aceptar la solicitud.

Pero hay fallos que se saltan ese paso: con BlueBorne y con el fallo de los chips Airoha, el atacante podía iniciar el ataque sin emparejar.

No encontramos ningún caso documentado y reciente de bluesnarfing clásico con víctima, denuncia o investigación pública detrás. Los avisos de 2024 en adelante son preventivos.

Fallos de Bluetooth recientes que expusieron datos

Si el bluesnarfing clásico es historia, ¿por qué seguir prestándole atención a Bluetooth? Porque cada cierto tiempo aparecen fallos nuevos que permiten algo parecido: leer información o espiar una conexión. Estos son los que más se acercan a la idea de robar datos por Bluetooth, aunque no todos lo permiten por sí solos.

Todos tienen algo en común: tienen parche, y el riesgo queda en los dispositivos que nunca lo recibieron.

BlueBorne (2017)

La empresa Armis publicó en septiembre de 2017 un conjunto de fallos que afectaba a Android, Windows, Linux e iOS antiguos. Uno de ellos en Android (CVE-2017-0785) dejaba que alguien cercano, sin emparejar, leyera fragmentos de la memoria del teléfono; otro (CVE-2017-0781) dejaba que alguien ejecutara código.

Google publicó las correcciones de Android en su boletín de seguridad de septiembre de 2017, pero cada fabricante tenía que llevar el parche a sus teléfonos, y en Linux y Windows la corrección también dependía de que la actualización llegara a cada equipo.

Apple corrigió los que afectaban a iOS en iOS 10. El CERT/CC reúne los ocho identificadores CVE del conjunto en su aviso sobre BlueBorne.

KNOB (2019) y BIAS (2020)

Con el fallo KNOB (CVE-2019-9506), un atacante cercano podía forzar que dos dispositivos acordaran una clave de cifrado muy corta, fácil de adivinar por fuerza bruta, y así descifrar lo que se enviaban.

El Bluetooth SIG respondió recomendando una longitud mínima de clave de 7 bytes en conexiones Bluetooth clásicas, según el aviso de seguridad de Marvell, que cita al SIG. El atacante tenía que estar presente justo cuando los dos dispositivos se conectaban.

Con BIAS (CVE-2020-10135), un atacante podía hacerse pasar por un dispositivo ya emparejado. Por sí solo no roba datos, pero combinado con KNOB abre la puerta a descifrar la conexión, como explica su autor principal, Daniele Antonioli.

BLUFFS (2023)

El investigador Daniele Antonioli, de EURECOM, mostró que, por fallos en la forma de generar las claves de sesión, un atacante podía forzar una clave débil y reutilizarla para descifrar conexiones pasadas que se hayan grabado y suplantar dispositivos en sesiones distintas.

Está registrado como CVE-2023-24023 y afecta a las versiones 4.2 a 5.4 de la especificación de Bluetooth clásico, según la ficha de Red Hat, que lo califica de gravedad moderada.

Chips Airoha en auriculares (2025)

Es el caso más reciente y el que más se parece a un bluesnarfing moderno. Investigadores de la empresa alemana ERNW encontraron que muchos auriculares y altavoces con chips Airoha exponían por Bluetooth, sin emparejar ni autenticarse, una herramienta interna de diagnóstico.

Con ella se podía leer y escribir la memoria del dispositivo y sacar las claves de emparejamiento con el teléfono.

Con esas claves, el atacante podía hacerse pasar por los auriculares ante el teléfono y, a través del perfil manos libres (HFP), obtener el número de teléfono (con el comando AT+CNUM) y, si el usuario dio los permisos al emparejar los auriculares, la lista de contactos y el historial de llamadas.

También podía iniciar o aceptar llamadas, activar el asistente de voz y, en algunos casos, escuchar el audio, según el informe completo de ERNW. Los fallos están registrados como CVE-2025-20700, CVE-2025-20701 y CVE-2025-20702.

ERNW publicó un primer aviso el 26 de junio de 2025 y los detalles completos en diciembre de 2025. Airoha publicó un boletín de seguridad, y la corrección depende de que cada fabricante la lleve al firmware de sus auriculares.

Cómo evitar el bluesnarfing en Android, iPhone, Windows y Mac

Las medidas son las mismas en Android, iPhone, Windows y Mac; lo que cambia es dónde está cada ajuste.

Coinciden con las de INCIBE y con el enfoque de la guía NIST SP 800-121 Rev. 2 del gobierno de Estados Unidos (actualizada en enero de 2022), que está pensada para organizaciones pero insiste en lo mismo: limitar la visibilidad, controlar los emparejamientos y mantener los dispositivos al día.

Por orden de importancia, esto es lo que recomendamos:

1. Actualiza el sistema. Es lo que corrige fallos como BlueBorne en el teléfono. Si tu teléfono ya no recibe actualizaciones de seguridad, ese es el verdadero problema, más que el Bluetooth.
2. Apaga Bluetooth cuando no lo uses, sobre todo en lugares concurridos. Es también la primera recomendación de INCIBE.
3. No dejes el dispositivo visible. Activa la visibilidad solo mientras emparejas algo y cierra la pantalla de emparejamiento cuando termines.
4. No aceptes solicitudes de emparejamiento que no esperas. Si aparece una ventana pidiendo emparejar y no estás conectando nada, recházala.
5. Revisa y borra dispositivos emparejados que ya no usas o no reconoces.
6. Actualiza el firmware de tus accesorios (auriculares, relojes, altavoces) desde la app oficial del fabricante.
7. Cambia el nombre Bluetooth si incluye tu nombre o tu modelo de teléfono: mejor uno que no te identifique.

En Android

Los nombres cambian un poco según la marca, pero la ruta habitual es Ajustes > Dispositivos conectados.

• Apagar Bluetooth: desde el panel rápido que aparece al deslizar desde arriba, o en la ruta anterior.
• Olvidar dispositivos: en la lista de dispositivos guardados, toca el engranaje junto al que quieras quitar y elige Olvidar o Desvincular.
• Nombre: en Ajustes > Acerca del teléfono > Nombre del dispositivo.
• Actualizaciones: Ajustes > Sistema > Actualización de software (o Seguridad y privacidad > Actualizaciones; en algunos modelos, Ajustes > Seguridad). Revisa también la fecha del «parche de seguridad». Si tiene muchos meses, comprueba si tu modelo sigue recibiendo actualizaciones, porque una fecha antigua no prueba por sí sola que el fabricante haya dejado de darle soporte.

En iPhone

• Apagar Bluetooth de verdad: hazlo desde Ajustes > Bluetooth. El botón del Centro de control solo desconecta los accesorios, pero deja Bluetooth activo para funciones como AirDrop o el Apple Watch, según Apple.
• Olvidar dispositivos: en Ajustes > Bluetooth, toca la «i» junto al dispositivo y elige Omitir dispositivo.
• Nombre: Ajustes > General > Información > Nombre.
• AirDrop: en Ajustes > General > AirDrop, deja «Solo contactos» o «Recepción desactivada» cuando estés en lugares públicos.
• Actualizaciones: Ajustes > General > Actualización de software, y activa las actualizaciones automáticas.

En Windows y Mac

• Apagar Bluetooth en Windows: desde el panel de acceso rápido (el ícono de red y volumen junto al reloj) o en Configuración > Bluetooth y dispositivos.
• Quitar dispositivos en Windows: en Bluetooth y dispositivos > Dispositivos, abre el menú de tres puntos junto al dispositivo y elige Quitar dispositivo.
• Actualizaciones en Windows: Configuración > Windows Update. Los controladores de Bluetooth a veces llegan como actualizaciones opcionales, en Windows Update > Opciones avanzadas > Actualizaciones opcionales; revísalas también.
• Apagar Bluetooth y quitar dispositivos en Mac: en Ajustes del Sistema > Bluetooth.
• Nombre en Mac: Ajustes del Sistema > General > Información > Nombre. Es también el nombre con el que el Mac aparece por Bluetooth.

Auriculares, relojes y altavoces

Lo que deja el caso Airoha es que tus auriculares también se actualizan, normalmente desde la app del fabricante.

Instala la app oficial del fabricante y revisa si hay actualizaciones de firmware. Si tus auriculares no tienen app ni reciben actualizaciones, desconéctalos del teléfono cuando no los uses.

Con unos AirPods, la versión del firmware se ve en el iPhone, en Ajustes > [nombre de tus AirPods] > Versión.

Qué hacer si sospechas que entraron en tu teléfono

Tu teléfono no te va a avisar de que alguien hizo bluesnarfing. No hay un registro de «accesos por Bluetooth» que puedas consultar como usuario común.

Lo que sí puedes hacer es fijarte en señales indirectas de un móvil hackeado. INCIBE menciona estas:

• Dispositivos desconocidos en tu lista de Bluetooth emparejado.
• Mensajes enviados desde tus apps que no escribiste.
• Bloqueos o comportamientos raros del teléfono sin explicación.
• Un gasto de batería anormal sin haber usado más el teléfono.
• Inicios de sesión, compras o movimientos que no reconoces en tus cuentas.

Ninguna de estas señales demuestra por sí sola un ataque por Bluetooth: la batería puede ser una app mal hecha y los inicios de sesión raros suelen venir de contraseñas filtradas. Pero si notas varias, trátalo como un posible incidente de seguridad, venga o no de Bluetooth, y haz esto:

1. Apaga Bluetooth y borra de la lista todos los dispositivos que no reconozcas.
2. Actualiza el sistema y las apps.
3. Cambia las contraseñas de tus cuentas importantes (correo, banco, redes) desde otro dispositivo de confianza, y activa la verificación en dos pasos.
4. Revisa los movimientos del banco y avisa a tu entidad si ves algo raro.
5. Pide ayuda. En España, la Línea de Ayuda en Ciberseguridad de INCIBE atiende gratis en el 017, por WhatsApp (900 116 117) y por Telegram (@INCIBE017). En otros países, acude al CERT nacional o a la unidad de delitos informáticos de tu policía.

Preguntas frecuentes

Si usas reloj o auriculares todo el día, revisa de vez en cuando la lista de dispositivos emparejados.